جهة مرتبطة بعمليات فدية تنتحل صفة شركة استرداد لسرقة المدفوعات

حذرت شركة GuidePoint Security من نشاط جهة تُسمى Ransom Busters تنتحل صفة خدمة لاسترداد ضحايا هجمات الفدية، فيما تشير الأدلة إلى احتمال كونها الجهة المنفذة للهجمات أو شريكاً تابعاً لها. وتتواصل الجهة مع الضحايا قبل ظهور الهجمات إلى العلن، وتعرض توفير مفاتيح فك التشفير وحذف البيانات المسروقة مقابل مبالغ مالية.

كشفت فريق الأبحاث والاستخبارات في GuidePoint Security، المعروف اختصاراً بـGRIT، عن النشاط بعد استجابته لعدة هجمات فدية حديثة تلقى ضحاياها رسائل من Ransom Busters. وأثارت معرفة الجهة بالهجمات قبل الإعلان عنها شكوكاً مباشرة، إذ لم يكن من الواضح كيف تمكنت خدمة استرداد مزعومة من الوصول إلى معلومات عن حوادث غير معلنة.

ادعاء الوصول إلى مفاتيح التشفير والبيانات

زعمت Ransom Busters أنها استغلت ثغرات في لوحات إدارية تستخدمها عمليات الفدية كخدمة، أو RaaS، ما أتاح لها الوصول إلى مفاتيح التشفير والبيانات التي سُرقت من الضحايا. وطلبت الجهة مبالغ تراوحت بين 20 ألفاً و60 ألف دولار مقابل حذف البيانات من خوادم عمليات الفدية، بما في ذلك خوادم مرتبطة بمجموعات DragonForce وSettra وAnubis.

لكن GRIT ربط بين حادثتين ظهرت فيهما مؤشرات تقنية وتشغيلية متطابقة. فقد استخدم المهاجمون في الحالتين الأدوات نفسها، ومنها SoftPerfect Network Scanner وs5cmd وأداة المراقبة عن بُعد Remotely. كما أنشأوا حساباً محلياً خلفياً باستخدام كلمة المرور Numlock!123، واعتمدوا اسم المضيف نفسه الذي يسيطر عليه المهاجمون: DESKTOP-BBETH6K.

لماذا يهم هذا التطور؟

تقول GRIT، بثقة متوسطة، إن النشاط المتداخل عبر عدة عمليات RaaS يرجح وجود شريك واحد يستغل وصوله إلى هجمات العصابات لسرقة مدفوعات إضافية خارج ترتيبات تقاسم العائدات المعتادة. ولم ترَ الشركة حتى الآن ضحية دفعت لـRansom Busters، كما حثت الضحايا على عدم الدفع لها. وفي إحدى الحالات، دفع الضحية بدلاً من ذلك لعملية الفدية التي تقف وراء الهجوم.

أكدت شركة Coveware، المتخصصة في التفاوض بشأن هجمات الفدية، لـBleepingComputer أنها تعاملت مؤخراً مع حادثة واحدة على الأقل تواصلت فيها الجهة نفسها، أو فرد مرتبط بها، مع ضحية مدعية امتلاك مفتاح فك التشفير والبيانات المسروقة. وأشارت Coveware إلى أنها رصدت وسطاء مشابهين بأسماء أخرى منذ عام 2024، لكن الفرق هنا أن Ransom Busters تواصلت بشأن حوادث لم تكن معلنة بعد.

يزيد هذا التدخل مخاطر الضحايا، لأن دفع الفدية للمشغل الأساسي قد لا يضمن التزام كل طرف لديه نسخة من البيانات بعدم تسريبها. وحتى الآن، لم تجد GRIT دليلاً على نشر البيانات خارج بيئة عمليات RaaS، كما لم تُنشر بيانات إحدى الضحايا على موقع التسريب الخاص بعملية الفدية. وترى Coveware أن تراجع الثقة بين مشغلي الفدية وشركائهم قد يدفع مزيداً من التابعين إلى محاولة تحقيق أرباح مستقلة.